En skyldighet fullgörs sällan av en enda avdelning. Policy skrivs av juridiska avdelningen, genomförs av verksamheten, kontrolleras av finansavdelningen och bedöms ibland på nytt av en extern part. Vart och ett av dessa steg lämnar ett spår: ett dokument, ett e-postmeddelande, ett godkännande, en logg. Det spåret är beviset. Problemet uppstår inte genom att det saknas bevis, utan genom att ingen exakt vet var det finns.
De flesta organisationer arbetar med en kombination av system som inte är byggda för detta ändamål: ett intranät för policy, ett HR-system för utbildningar, ett upphandlingssystem för leverantörsintyg, en mejlkorg för korrespondens med en tillsynsmyndighet. Varje system bevarar sin egen del av berättelsen. Inget av dessa system visar helheten. Den som ska visa att en skyldighet har fullgjorts måste därför först ta reda på i vilket system det relevanta beviset finns, och sedan om det beviset fortfarande är aktuellt.
För en enskild enhet är detta redan en utmaning. För en koncern med flera enheter, verksamhetsställen eller länder växer problemet i takt. En skyldighet som är förlagd på koncernnivå måste ofta styrkas lokalt, och tvärtom. Vad detta konkret innebär för vad som räknas som bevis för en skyldighet inom en koncern med flera enheter, beror på hur koncernen är strukturerad och vilken enhet som lämnar vilken rapportering. Samma fråga om spridning i sig återkommer i var bevis blir spridda inom en koncern med flera enheter, där koncernens struktur i sig blir en faktor.
Bevis som existerar men inte är sökbart fungerar vid en kontroll som bevis som inte existerar. En revisor, tillsynsmyndighet eller styrelsen själv måste kunna fastställa vem som var ansvarig för vad och var underlaget finns. Det kräver en fast plats per skyldighet, inte en sökning genom avdelningar i det ögonblick frågan ställs. Hur denna sökbarhet i praktiken byggs upp beskrivs i hur ni bevarar bevis så att en revisor hittar det.
Att utse en ägare per skyldighet löser inte automatiskt problemet med spridda bevis, men det gör det synligt. En ägare som vet att han är ansvarig söker upp det bevis som hör till hans uppgift, och upptäcker då ofta att det är spritt över flera system eller kollegor. Det är i det ögonblicket som spridning blir ett problem som kan lösas, i stället för ett problem som förblir oupptäckt. Vad ägarskap exakt innebär och varför det är fristående från vem som utför uppgiften, behandlas i vem som är ägare av en skyldighet.
En annan punkt där bevis faller isär: att en policy existerar säger ingenting om hur den genomförs. Ett dokument som beskriver hur en process ska förlöpa är inget bevis på att processen faktiskt förlöper så. Det kräver en annan typ av bevis, nämligen påvisbar utförande: loggar, stickprov, avvikelserapporter. Skillnaden mellan dessa två lager av bevis, och hur ni lägger dem sida vid sida, förklaras på hur ni visar att policy även är praktik.
För att göra spridda bevis hanterbara krävs en fast översikt: per skyldighet ägaren, beviset och kontrollen som visar att processen fungerar. Utan den strukturen förblir bevis spridda tills någon behöver det, och då är det ofta för sent att samla in det komplett. Hur en sådan översikt är uppbyggd och vad en kontroll tillför där beskrivs på vad en control matrix är.
Frågan om en organisation är i control besvaras inte med ett uttalande utan med bevis som är sökbart vid rätt tidpunkt. Så länge det beviset ligger spritt över avdelningar och system som var och en bevarar sin egen del, går den frågan inte att besvara med säkerhet. Att föra samman ägare, bevis och kontroll per skyldighet är steget som gör det möjligt.
Att samla in och hålla det beviset aktuellt är i sig också ett arbete, spritt över många små uppgifter: begära in dokument, kontrollera versioner, uppdatera översikter. Arbetsanalysen från FTE TO AI räknar per uppgift ut hur stor del av det som kan tas över av AI, så att det blir tydligt vilken del av detta arbete som automatisering klarar och vilken del som fortsatt kräver mänsklig bedömning.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.